from : http://hi.baidu.com/coderui/blog/item/6faa40dded6a7fde8d1029d7.html

通过这个方法解决.在此,表示感谢!

///////////////////////////////////////////////////////////////////////////////////////////////
文章名称：分析替换系统“rpcss.dll”文件的病毒(附修复方法)
文章类型：病毒分析、系统修复
编写作者：Coderui
编写日期：2008年10月30日
作者博客：http://hi.baidu.com/coderui
///////////////////////////////////////////////////////////////////////////////////////////////

英文名称：TrojanSpy.OnLineGames.iyo
中文名称：“网游窃贼”变种iyo
病毒长度：12060字节
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
MD5 校验：c403b5d5ea1448efeb2d2ae71d41f5c3

============================================================================================
简单描述：
该病毒会通过替换系统“rpcss.dll”文件来实现开机自启动。是一个专门窃取QQ网络游戏帐号的木马程序。同时，它还会窃取QQ网络游戏用户的密码保护资料。

中毒现象：
1、杀毒后系统不能上网。
2、杀毒后系统粘贴功能失效。
3、杀毒后系统任务栏上的部分信息不能正常显示。
4、杀毒后系统桌面程序“explorer.exe”启动非常慢，等好长时间才能显示出来桌面。
============================================================================================

病毒释放驱动“hm17002.sys”部分的分析：
============================================================================================
恶意驱动程序。
文件大小：5,120 字节。

可能是利用驱动安装钩子截取QQ网络游戏密码，达到盗取游戏帐号的目的：
!This program cannot be run in DOS mode.
e:qqsgsetloa~1setloa~1objfre_wnet_x86i386SetLoadHook.pdb
============================================================================================

============================================================================================
手动删除该病毒的方法步骤(经过实际测试绝对有效)：
1、删除病毒文件“C:DOCUME~1ADMINI~1LOCALS~1Temp~*.tmp”、“C:WINDOWSsystem32gdipro.dll”、“C:WINDOWSsystem32drivershm17002.sys”、“C:WINDOWSsystem32sys17002.dll”、“C:WINDOWSsystem32sys17002.add”、“C:WINDOWSsystem32rpcss.dll”
2、把系统文件“C:WINDOWSsystem32srpcss.dll”改名为“C:WINDOWSsystem32rpcss.dll”。
3、把注册表“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesrpcssObjectName”键值改为“NT AUTHORITYNetworkService”。
4、把注册表“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesrpcssParametersServiceDll”键值改为“%SystemRoot%system32rpcss.dll”。
5、重新启动计算机系统，系统杀毒修复完毕(系统重新启动后就可以上网了，粘贴功能有效了，同时任务栏的显示也正常了)。
6、使用杀毒软件进行全盘查杀病毒(该病毒为木马下载器下载到您计算机中的病毒，那个木马下载器还下载了N多其它病毒也同时安装到了您的计算机系统中)。
============================================================================================
///////////////////////////////////////////////////////////////////////////////////////////////